La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) ha incluido dos vulnerabilidades en los dispositivos SonicWall SMA1000 en su catálogo de Vulnerabilidades Explotadas Conocidas, confirmando su explotación activa en ataques reales. Estos dispositivos, utilizados para acceso remoto seguro en redes empresariales, podrían permitir a atacantes acceder a sistemas internos sensibles mediante ejecución remota de comandos o solicitudes no autorizadas. Ambas vulnerabilidades fueron incorporadas al catálogo KEV el 2 de septiembre de 2026, con plazo de remediación para agencias civiles federales de EE.UU. hasta el 5 de septiembre de 2026 bajo la Directiva Operativa Vinculante BOD 26-04, que exige tratar el hallazgo como una posible intrusión y no como un parcheo rutinario. Existen además indicios de que ambas fallas han sido encadenadas en ataques reales para lograr ejecución remota de código sin necesidad de autenticación previa.
CVE y severidad
| ID | Tipo | Vector de ataque | Impacto | Autenticación requerida |
|---|---|---|---|---|
| CVE-2026-83549 | Inyección de comandos (CWE-78) | Remoto | Ejecución remota de código, alteración de configuraciones, persistencia. CVSS 7.8 (Alto). | Sí (administrador) de forma aislada — explotable sin autenticación al encadenarse con CVE-2026-83548 |
| CVE-2026-83548 | SSRF (CWE-918, CWE-441) | Remoto (pre-autenticación) | Acceso a funcionalidades sensibles, operaciones no autorizadas. CVSS 10.0 (Crítico). Actúa como vector de entrada para lograr RCE no autenticado al encadenarse con CVE-2026-83549. | No |
Productos afectados
| Fabricante | Producto | Componente |
|---|---|---|
| SonicWall | SMA1000 (modelos 6210, 7210, 8200v) | Aplicación de acceso remoto seguro (interfaz Work Place / Appliance Management Console). Versiones vulnerables: 12.4.3-03453-hotfix y anteriores, 12.5.0-02835-hotfix y anteriores. Corregido en 12.4.3-03526 y 12.5.0-02952, disponibles desde el 01-sep-2026. No afecta a la serie SMA100 ni a la SSL-VPN de los firewalls SonicWall. |
Solución
SonicWall ya publicó las versiones corregidas (12.4.3-03526 y 12.5.0-02952, o superiores), disponibles desde el 1 de septiembre de 2026. Se debe actualizar de inmediato a estas versiones; el parche ya existe, por lo que no debe postergarse su aplicación a la espera de una futura publicación.
Recomendaciones
Priorizar la aplicación de parches en dispositivos expuestos a Internet, revisar registros de autenticación y actividad administrativa, e investigar posibles indicios de compromiso como cambios de configuración, cuentas administrativas nuevas o conexiones salientes sospechosas. CISA recomienda realizar un análisis forense en lugar de tratar el incidente como un parcheo rutinario, dado el riesgo de explotación encadenada sin autenticación.
Workarounds
Si no es posible aplicar el parche de inmediato, restringir temporalmente el acceso desde Internet a la interfaz Work Place / Appliance Management Console del SMA1000. Si se sospecha compromiso, reimaginar el equipo, restablecer todas las credenciales administrativas y reinicializar los tokens MFA/TOTP antes de reincorporarlo a producción. Si ninguna de estas medidas es viable en el corto plazo, evaluar la discontinuación temporal del uso del dispositivo hasta poder aplicar la actualización.